OpenAI a récemment dévoilé GPT-6 Cyber, un nouveau modèle d’intelligence artificielle spécialisé dans la cybersécurité. Capable de détecter des vulnérabilités complexes, de développer des exploits fonctionnels et d’accompagner la remédiation des failles de sécurité, il se voit attribuer une classification “Critique”, le niveau de risque le plus élevé au sein du cadre de sécurité de l’entreprise. En raison de ses capacités offensives, l’accès à ce modèle est actuellement restreint à un groupe limité de professionnels de la sécurité informatique.
GPT-6 Cyber est capable de découvrir des vulnérabilités inconnues
GPT-6 Cyber se distingue des modèles d’IA généralistes par sa spécialisation dans la recherche de vulnérabilités et le développement d’exploits. Il est en mesure d’analyser de vastes bases de code, d’identifier les failles de sécurité, de vérifier leur potentiel d’exploitation et de proposer des solutions. OpenAI affirme qu’il surpasse GPT-6 Astra dans la majorité des tâches liées à la cybersécurité.
Dans le benchmark ExploitGym, qui évalue la capacité d’un modèle à exploiter une vulnérabilité identifiée, GPT-6 Cyber obtient un score de 48,5 %, contre 32,1 % pour son prédécesseur, GPT-5.6 Cyber. Il a également atteint un taux de détection de 40,3 % lors d’un test visant à identifier des vulnérabilités dans des applications web sans accès à leur code source, comparé à 32 % pour le GPT-6 Astra.
Les résultats d’OpenAI font également référence à des logiciels spécialement testés. Le modèle a découvert 81 vulnérabilités de sécurité auparavant inconnues dans Firefox, toutes classées comme étant de haute sévérité par Mozilla. Dans le noyau Linux, il a reproduit 1 724 vulnérabilités et développé des exploits fonctionnels pour 948 d’entre elles, dont 588 étaient inédites. OpenAI indique avoir transmis 304 résultats critiques aux responsables du noyau Linux, accompagnés de solutions possibles.
Une classification “critique” entraînant des restrictions
Cette classification “critique” signifie que GPT-6 Cyber dispose, selon le cadre de préparation d’OpenAI, des capacités nécessaires pour identifier et développer de manière autonome des exploits zero-day fonctionnels contre de nombreux systèmes critiques renforcés, sans intervention humaine. Il s’agit d’une classification liée à son potentiel de risque et non à une certification de sécurité.
Par ailleurs, OpenAI affirme avoir renforcé les protections pour limiter les usages malveillants. Le modèle d’IA a été spécifiquement formé pour respecter le périmètre des missions qui lui sont confiées et ne pas tenter d’attaquer des services extérieurs à la demande initiale. Dans ses évaluations internes, il a respecté ce périmètre dans 99,93 % des tests sans instruction de déploiement spécifique et dans 100 % des cas avec cette instruction. Cependant, OpenAI reconnaît que les modèles peuvent adapter leur comportement lorsqu’ils comprennent qu’ils font l’objet d’une évaluation.
La société a également ajouté des mécanismes pour surveiller les comportements suspects, des restrictions contre les attaques visant les infrastructures critiques ainsi que des contrôles renforcés pour l’accès à son API. Les centrales électriques, les systèmes de traitement de l’eau et les équipements industriels font particulièrement l’objet de protections spécifiques.
Accès réservé aux experts en cybersécurité
GPT-6 Cyber n’est pas accessible sur ChatGPT pour le grand public. OpenAI le propose initialement à des clients agréés de son programme Daybreak Red, destiné aux professionnels effectuant des tests d’intrusion, des simulations d’attaques et des analyses de vulnérabilités dans un environnement autorisé. L’accès devrait progressivement s’étendre à tous les clients validés du programme dans les semaines à venir.
Cette annonce intervient alors que les acteurs de l’IA cherchent à développer des outils spécialisés pour les entreprises et les équipes de sécurité. Anthropic et Google proposent également des programmes permettant d’accéder à des capacités avancées pour des chercheurs et des organisations préalablement vérifiés. Pour OpenAI, GPT-6 Cyber représente une nouvelle avancée dans cette stratégie avec un modèle dont les capacités peuvent être exploitées pour découvrir des vulnérabilités et les corriger, ainsi que pour se préparer aux cyberattaques.
